Rregulli i dëgjuesit në firewalld kundrejt politikës së përcjelljes: çfarë bën secili

Një VPN që lidhet por nuk arrin asgjë zakonisht përshkruhet si problem i murit të zjarrit, dhe zgjidhja ku njerëzit mbështeten është vendosja e ndërfaqes së tunelit në një zonë të besuar. Kjo funksionon në kuptimin që trafiku fillon të rrjedhë, por lejon edhe shumë më tepër sesa shërbimi i synuar. Dy politikat e përfshira janë të ndryshme: njëra lejon transportin e jashtëm drejt një socket që dëgjon, dhe tjetra autorizon trafikun e dekriptuar të arrijë një burim të caktuar. Trajtimi i tyre si një rregullim i vetëm është ai që e kthen një leje të ngushtë në të gjerë. Të dyja vendosen në vende të ndryshme, prandaj gabimi është kaq i lehtë.

Dy politika, një tunel

Politika e jashtme përgjigjet një pyetjeje të thjeshtë: a mundet një paketë nga ky burim të arrijë UDP 1194 në këtë host? Politika e brendshme përgjigjet një tjetre: a mundet klienti i vërtetuar pas atij tuneli të arrijë këtë destinacion, me këtë protokoll, në këtë portë? E para ka të bëjë me një socket, e dyta me një rrugë, dhe firewalld i modelon ato me objekte të ndryshme sepse vendosen në pika të ndryshme. Njëra është veti e një socket-i në këtë host, tjetra e një rruge përmes tij.

Pasoja praktike është se një tunel që funksionon nuk thotë asgjë për politikën e dytë, dhe një politikë e dytë e saktë nuk e bën të parën të panevojshme.

Lejoni dëgjuesin e vërtetë të jashtëm

Filloni duke inspektuar atë që është caktuar tashmë në vend që ta supozoni. Lexoni zonat aktive, listoni zonën që vërtet mbart hyrjen, dhe kontrolloni përkufizimin e shërbimit të instaluar, sepse emri i një shërbimi përshkruan një grup portash dhe nuk thotë asgjë nëse dëgjuesi i këtij serveri përputhet me të.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Nëse dëgjuesi është vërtet UDP 1194 në atë zonë, hapni pikërisht atë portë dhe transport, pastaj bëni të njëjtin rregull specifik të përhershëm pasi ta testoni. Kontrolloni edhe caktimet bazuar në burim, sepse një zonë e lidhur me një interval burimesh mund ta kapë trafikun përpara se zona e ndërfaqes ta shohë fare.

Autorizoni destinacionin e dekriptuar veçmas

Një lidhje me një shërbim që ekzekutohet në vetë serverin VPN është politikë e hyrjes lokale. Një lidhje e përcjellë në një host tjetër në LAN kërkon politikë përcjelljeje, përcjellje e aktivizuar në kernel dhe një rrugë përgjigjeje — tre kërkesa të ndara që njerëzit shpesh i bashkojnë në një. Objektet moderne të politikave të firewalld përshkruajnë trafik të drejtuar midis një zone hyrëse dhe një zone dalëse, dhe pikërisht aty është vendi i duhur për të shprehur cilat burime VPN mund të arrijnë cilat shërbime private.

Përcaktoni shprehimisht burimet e lejuara dhe lërini të gjitha të tjerat të bien në një refuzim. Një leje për shërbimin e jashtëm nuk është ajo politikë, sado që duket kështu plani i zonave.

Pse besimi te ndërfaqja është shkurtesa e gabuar

Vendosja e ndërfaqes së tunelit në një zonë, objektivi i së cilës pranon gjithçka, lejon të gjithë trafikun e dekriptuar drejt çdo shërbimi që hosti ekspozon, përfshirë ato që nuk i keni shqyrtuar. Riorientimi i zonës së besuar për ta bërë kufizuese në një makinë në punë është më keq, sepse ndërfaqe dhe intervale burimesh të tjera mund të varen tashmë nga kuptimi i saj dhe do të ndryshojnë sjellje kur ta redaktoni. Nëse ju duhet një politikë e ngushtë, krijoni një; mos ripërdorni një zonë të përbashkët.

Mbani gjithashtu të qëndrueshme caktimin e zonës së tunelit përmes çdo komponenti që zotëron atë konfigurim. Humbja e caktimit në rinisje prodhon një dështim që duket si problem rregulli i murit të zjarrit dhe në të vërtetë është problem qëndrueshmërie.

Verifikoni tre gjëra, duke përfshirë një refuzim

Testoni lidhjen e jashtme nga jashtë, testoni një shërbim të brendshëm të autorizuar nga një klient i lidhur, dhe testoni një shërbim që duhet të mbetet i paarritshëm. Testi i tretë është ai që dallon një politikë nga një efekt anësor, dhe është ai që njerëzit e anashkalojnë sepse gjithçka duket se funksionon. Nëse shërbimi i refuzuar përgjigjet, keni lejuar një zonë dhe jo një shërbim.

Shënoni zonën, portën, transportin dhe objektin e politikës në shënimet e serverit. Përndryshe ndryshimi i radhës në këtë host do të nisë nga i njëjti supozim.